NPM ने 15 हजार फिशिंग आणि स्पॅम पॅकेजेस ओळखले

NPM डायरेक्टरी वापरकर्त्यांवर हल्ला झाल्याचे आढळून आले. २० फेब्रुवारी रोजी, NPM रिपॉझिटरीमध्ये १५,००० हून अधिक पॅकेजेस जोडण्यात आले. त्यांच्या README फाइल्समध्ये फिशिंग साइट्सच्या लिंक्स किंवा रॉयल्टी निर्माण करणाऱ्या रेफरल लिंक्स होत्या. पॅकेजेसच्या विश्लेषणातून ३१ डोमेनमध्ये पसरलेल्या १९० अद्वितीय फिशिंग किंवा जाहिरात लिंक्स आढळल्या.

सामान्य लोकांचे लक्ष वेधण्यासाठी पॅकेजची नावे निवडण्यात आली होती, उदाहरणार्थ, "फ्री-टिकटॉक-फॉलोअर्स," "फ्री-एक्सबॉक्स-कोड्स," "इंस्टाग्राम-फॉलोअर्स-फ्री," आणि असेच. NPM होमपेजवरील अलीकडील अपडेट्सची यादी स्पॅम पॅकेजेसने भरण्याचा हेतू होता. पॅकेजच्या वर्णनात मोफत गिव्हवे, भेटवस्तू, गेम चीट्स आणि टिकटॉक आणि इंस्टाग्राम सारख्या सोशल मीडिया प्लॅटफॉर्मवर फॉलोअर्स आणि लाईक्स वाढवण्यासाठी मोफत सेवांचे आश्वासन देणाऱ्या लिंक्स समाविष्ट होत्या. हा असा पहिला हल्ला नाही; डिसेंबरमध्ये, NuGet, NPM आणि PyPi मध्ये 144 स्पॅम पॅकेजेस प्रकाशित झाले होते.

पॅकेजमधील सामग्री पायथॉन स्क्रिप्ट वापरून स्वयंचलितपणे तयार केली गेली होती, जी अनवधानाने पॅकेजेसमध्ये राहिली होती आणि त्यात हल्ल्यादरम्यान वापरलेले क्रेडेन्शियल्स समाविष्ट होते. ही पॅकेजेस अनेक वेगवेगळ्या खात्यांखाली अशा तंत्रांचा वापर करून प्रकाशित करण्यात आली होती ज्यामुळे समस्याग्रस्त पॅकेजेस शोधणे आणि त्वरित ओळखणे कठीण होते.

फसव्या क्रियाकलापांव्यतिरिक्त, NPM आणि PyPi रिपॉझिटरीजमध्ये दुर्भावनापूर्ण पॅकेजेस प्रकाशित करण्याचे अनेक प्रयत्न देखील आढळून आले आहेत:

• PyPI रिपॉझिटरीमध्ये ४५१ दुर्भावनापूर्ण पॅकेजेस आढळून आले ज्यांनी टायपोस्क्वेटिंग वापरून लोकप्रिय लायब्ररी म्हणून स्वतःला वेषात घेतले (वेगवेगळ्या वर्णांसह समान नावे नियुक्त करणे, जसे की vyper ऐवजी vper, bitcoinlib ऐवजी bitcoinnlib, cryptofeed ऐवजी ccryptofeed, ccxt ऐवजी ccxtt, cryptocompare ऐवजी cryptocommpare, seleum ऐवजी seleium, pyinstaller ऐवजी pinstaller, इ.). पॅकेजेसमध्ये अस्पष्ट क्रिप्टोकरन्सी-स्टीलिंग कोड समाविष्ट होता जो क्लिपबोर्डमध्ये क्रिप्टो वॉलेट आयडी शोधत असे आणि त्यांना हल्लेखोराच्या वॉलेटने बदलत असे (कल्पना अशी आहे की पेमेंट करताना पीडिताला क्लिपबोर्डवरून कॉपी केलेला वेगळा वॉलेट नंबर लक्षात येणार नाही). हे प्रतिस्थापन एका ब्राउझर अॅड-ऑनद्वारे केले गेले जे पाहिलेल्या प्रत्येक वेब पेजच्या संदर्भात चालते.
• PyPI रिपॉझिटरीमध्ये दुर्भावनापूर्ण HTTP लायब्ररींची मालिका आढळली. ४१ पॅकेजेसमध्ये दुर्भावनापूर्ण क्रियाकलाप आढळून आला, ज्यांची नावे टायपोस्क्वेटिंग तंत्रांचा वापर करून निवडली गेली होती आणि लोकप्रिय लायब्ररींसारखी होती (aio5, request, ulrlib, urllb, libhttps, piphttps, httpxv2, इ.). पेलोड्स कार्यरत HTTP लायब्ररींसारखे दिसण्यासाठी स्टाईल केले गेले होते किंवा विद्यमान लायब्ररींचा कोड कॉपी केला होता आणि वर्णनांमध्ये त्यांच्या फायद्यांबद्दल दावे आणि कायदेशीर HTTP लायब्ररींशी तुलना होती. दुर्भावनापूर्ण क्रियाकलापांमध्ये सिस्टमवर मालवेअर डाउनलोड करणे किंवा गोपनीय डेटा गोळा करणे आणि पाठवणे समाविष्ट होते.
• NPM मध्ये १६ JavaScript पॅकेजेस (speedte*, trova*, lagra) असल्याचे आढळून आले, ज्यात त्यांच्या नमूद केलेल्या कार्यक्षमतेव्यतिरिक्त (बँडविड्थ चाचणी), वापरकर्त्याच्या माहितीशिवाय क्रिप्टोकरन्सी मायनिंगसाठी कोड देखील होता.
• NPM मध्ये 691 दुर्भावनापूर्ण पॅकेजेस आढळून आले. बहुतेक समस्याग्रस्त पॅकेजेसमध्ये Yandex प्रोजेक्ट्स (yandex-logger-sentry, yandex-logger-qloud, yandex-sendsms, इ.) ची नक्कल करण्यात आली होती आणि त्यामध्ये बाह्य सर्व्हरवर गोपनीय माहिती पाठवण्यासाठी कोड समाविष्ट होता. सर्व्हरअसे मानले जाते की ज्यांनी पॅकेजेस पोस्ट केले ते Yandex (अंतर्गत अवलंबित्वे बदलण्याची पद्धत) मध्ये प्रकल्प तयार करताना स्वतःचे अवलंबित्वे बदलण्याचा प्रयत्न करत होते. PyPI रिपॉझिटरीमध्ये, त्याच संशोधकांना 49 पॅकेजेस (reqsystem, httpxfaster, aio6, gorilla2, httpsos, pohttp, इ.) आढळले ज्यामध्ये अस्पष्ट दुर्भावनापूर्ण कोड आहे जो बाह्य सर्व्हरवरून एक्झिक्युटेबल फाइल डाउनलोड करतो आणि चालवतो. सर्व्हर.

स्त्रोत: opennet.ru